Cloud aziendale in Svizzera: modelli, sicurezza e conformità

Cloud aziendale in Svizzera: perché il contesto conta

Per un'azienda svizzera il cloud non è solo una scelta tecnica o di costo. Contano flessibilità operativa, protezione dei dati personali e responsabilità legale. Chi tratta dati di clienti, collaboratori o partner deve dimostrare di aver scelto e istruito il fornitore in modo conforme e di aver valutato i rischi.

Il quadro di riferimento è la Legge federale sulla protezione dei dati (LPD) riveduta. Secondo Swissmedic la revisione totale è entrata in vigore il 1° settembre 2023. Serve a migliorare la protezione dei dati, aumentare la trasparenza nella raccolta e nel trattamento e rafforzare l'autodeterminazione informativa dei cittadini. UMB osserva che la legge svizzera aggiornata nel 2023 si orienta molto al Regolamento generale sulla protezione dei dati (GDPR) dell'Unione europea e prescrive regole severe su trasparenza, sicurezza e responsabilità.

Nel dibattito pesa la sovranità digitale. UMB rileva che, date le relazioni tese e complicate tra Svizzera e Stati Uniti, crescono i dubbi sulla sicurezza dei servizi cloud esteri. Ci si chiede se il governo statunitense possa richiedere accesso ai dati svizzeri. Non ogni soluzione estera è inaccettabile, ma sede del fornitore, accesso governativo e conformità alla LPD vanno valutati con attenzione.

Eventi chiave nella protezione dei dati in Svizzera (2023–2025)

Modelli cloud per l'azienda: pubblico, privato, ibrido e multi-cloud

Secondo l'IFPDT, il cloud computing permette di acquisire secondo le necessità, tramite rete, per esempio Internet, applicazioni e software, capacità di memoria, strumenti di sviluppo, capacità di rete o potenza di calcolo presso un fornitore di servizi cloud. Gli esempi dell'IFPDT includono strumenti Office 365 per i collaboratori. Includono anche strumenti per gestire indirizzi di posta elettronica per newsletter o consulenza alla clientela. Altri esempi: sistemi CRM online, caricamento di video su piattaforme di streaming e caricamento di dati su un server remoto disponibile su Internet.

Il cloud pubblico usa infrastrutture condivise accessibili tramite rete. In Svizzera il progetto «Cloud pubblico della Confederazione» offre all'Amministrazione federale servizi cloud pubblici a livello centrale. Prevede una governance cloud e un Cloud Service Broker (CSB) come intermediario. La strategia federale è multi-cloud ibrida: mette a disposizione diversi servizi cloud e li combina con infrastrutture esistenti.

Il private cloud è pensato per risorse dedicate. Swisscom presenta Enterprise Service Cloud come soluzione private cloud con conservazione dei dati in Svizzera. Offre utilizzo esclusivo di larghezza di banda e capacità di memoria, funzionamento isolato in Svizzera e integrazione con rete aziendale, infrastruttura e processi dell'impresa. Fornisce infrastruttura come servizio (IaaS) e piattaforme come servizio (PaaS) e si interfaccia con ambienti on-premise e infrastruttura public cloud.

Il cloud ibrido combina ambienti on premise, private cloud e public cloud. La strategia multi-cloud usa più fornitori o più piattaforme cloud, come nel modello federale. Per riconoscere il modello adatto servono tre domande: quali dati vengono trattati, quanto sono sensibili e quali carichi di lavoro devono restare sotto controllo diretto. A queste si aggiungono obiettivi di business, integrazione con i sistemi esistenti, scalabilità richiesta e possibilità di cambiare fornitore nel tempo.

Confronto tra modelli cloud per l'azienda svizzera

Private cloud in Svizzera: controllo, isolamento e dati nel Paese

Il private cloud è spesso valutato da aziende con dati sensibili o requisiti stringenti. UMB sottolinea che può essere fornito sia per più clienti sia per singole aziende, sempre nel rispetto delle rigide norme svizzere sulla protezione dei dati. Non è automaticamente conforme. Indica però una direzione utile quando servono risorse dedicate e maggiore controllo sul perimetro.

Tra i vantaggi citati figurano risorse dedicate, isolamento, conservazione dei dati in Svizzera, riduzione della complessità e integrazione con infrastrutture esistenti. Swisscom parla di utilizzo esclusivo di larghezza di banda e capacità di memoria, massima disponibilità, alto livello di sicurezza dei dati grazie al funzionamento isolato in Svizzera. Aggiunge riduzione della complessità dell'ambiente IT e integrazione con strutture on-premise e infrastruttura public cloud. Per imprese con ambienti IT complessi e dati sensibili, questi elementi possono semplificare operatività e compliance.

La scelta va impostata su criteri verificabili. Includono ubicazione dei dati e dei backup, livello di isolamento, gestione degli accessi, separazione tra clienti, continuità operativa, possibilità di esportare i dati e integrazione con i processi esistenti. Occorre chiarire per contratto ruoli, istruzioni, sub-fornitori e misure di sicurezza. Il private cloud in Svizzera è un'opzione da valutare, non una garanzia automatica: la conformità dipende da come il servizio è configurato, contrattualizzato e controllato.

Vantaggi e rischi del private cloud in Svizzera

Sicurezza nel cloud: obiettivi di protezione e misure concrete

Swissmedic riassume gli obiettivi di protezione in quattro pilastri: riservatezza, integrità, disponibilità e tracciabilità. Nel cloud vanno tradotti in misure tecniche e organizzative adeguate al rischio. L'IFPDT mette a disposizione una guida ai provvedimenti tecnici e organizzativi in materia di protezione dei dati (TOM), che illustra rischi e soluzioni e tratta cifratura, anonimizzazione e autenticazione. La guida aiuta a implementare provvedimenti adeguati e a garantire una protezione ottimale dei dati personali conformemente a normative e standard correnti.

Alla cifratura e all'autenticazione si affiancano misure organizzative: gestione di ruoli e diritti di accesso, separazione dei compiti, backup, controllo degli ambienti, istruzioni al personale e verifica dei fornitori. L'articolo 4 OPDa prevede la verbalizzazione. Nel trattamento automatico di dati personali, il titolare privato e il suo responsabile privato devono registrare operazioni come registrazione, modificazione, lettura, comunicazione, cancellazione e distruzione dei dati. L'IFPDT ha pubblicato raccomandazioni tecniche per la verbalizzazione secondo l'articolo 4 OPDa.

Un altro obbligo operativo riguarda le violazioni della sicurezza dei dati: l'IFPDT ha pubblicato una guida sulla notifica delle violazioni. Tratta i requisiti legali per la notifica all'IFPDT e in particolare il concetto di «rischio verosimilmente elevato» ai sensi dell'articolo 24 capoverso 1 LPD. Definisce anche i requisiti per informare gli interessati in caso di violazione ai sensi dell'articolo 24 capoverso 4 LPD. In ambiente cloud occorre sapere chi rileva l'incidente, chi decide se notificare, entro quali tempi e con quali informazioni.

Infine c'è il fattore umano. Swissmedic cita Helga Horisberger, responsabile del Settore giuridico e membro della Direzione. Secondo lei la principale minaccia per la protezione dei dati non risiede nella digitalizzazione, ma nelle singole persone: «Il comportamento e le decisioni individuali minimizzano i rischi in materia di protezione dei dati – o li aumentano». Per questo sensibilizzazione e formazione di tutti i collaboratori sono parte integrante della sicurezza nel cloud, non un'aggiunta facoltativa.

Principali obiettivi di protezione dei dati nel cloud

Chi fa cosa: titolare, responsabile e sub-responsabile nel cloud

Secondo l'IFPDT, l'impresa fornitrice di servizi cloud agisce di regola come responsabile – o sub-responsabile – del trattamento dei dati del cliente, ai sensi dell'articolo 9 LPD. Il cliente può essere responsabile del trattamento oppure titolare del trattamento. La distinzione determina obblighi diversi e va chiarita prima di affidare dati a un fornitore.

Se il cliente è titolare, deve garantire che i trattamenti svolti su mandato da fornitori cloud siano conformi alla protezione dei dati. Deve anche evitare che i diritti delle persone interessate siano pregiudicati dalla delocalizzazione. Se il cliente è responsabile, deve adempiere i requisiti stabiliti dal titolare del trattamento sui suoi trattamenti di dati.

L'IFPDT ricorda che l'utente cloud, quale titolare, deve assicurarsi e garantire mediante contratto il rispetto dei requisiti del trattamento da parte di un responsabile di cui all'articolo 9 LPD. Servono accordi contrattuali chiari, istruzioni documentate, definizione dei sub-fornitori e controllo sulla catena dei sub-responsabili. Il fornitore cloud deve poter dimostrare di aver ricevuto istruzioni lecite e di averle attuate.

La catena può essere lunga: un fornitore può avvalersi di sub-responsabili per hosting, backup, assistenza o servizi di rete. È prudente chiedere l'elenco aggiornato dei sub-responsabili, le condizioni per autorizzarli, i luoghi di trattamento e le modalità di controllo. Ruoli e responsabilità devono essere descritti in modo comprensibile anche per chi non è specialista di diritto o di sicurezza informatica.

Dati all'estero: trasferimenti, Paesi terzi e rischio CLOUD Act

L'IFPDT indica tra gli aspetti da valutare nell'uso di servizi cloud il ricorso a responsabili e sub-responsabili del trattamento. Considera anche la sicurezza del trattamento e la trasmissione di dati personali in Paesi terzi. Nella terminologia LPD si parla di comunicazione all'estero. Se dati personali vengono comunicati all'estero nell'ambito del cloud, occorre verificare le condizioni di legge e le garanzie applicabili.

Il caso più discusso è quello dei fornitori soggetti al diritto statunitense. UMB spiega che il CLOUD Act consente alle autorità statunitensi di costringere le aziende americane a rilasciare dati, anche se archiviati all'estero. Un imprenditore svizzero che usa un fornitore cloud con sede negli Stati Uniti rischia quindi che i suoi dati sensibili siano consultati dalle autorità statunitensi senza preavviso o ricorso. UMB aggiunge che, anche senza le attuali tensioni tra Svizzera e Stati Uniti, questo rischio legale non va sottovalutato.

UMB segnala inoltre che l'amministrazione Trump sta creando ulteriore incertezza nella sicurezza globale dei dati. Le recenti misure, come il licenziamento di alcuni membri del Privacy and Civil Liberties Oversight Board nel gennaio 2025, hanno indebolito meccanismi di controllo cruciali per il quadro di protezione dei dati UE-USA, sollevando dubbi sulla sua sostenibilità a lungo termine. Le misure americane hanno aumentato le preoccupazioni tra le società svizzere. Esse temono di dover consegnare dati archiviati presso fornitori cloud statunitensi su richiesta delle autorità americane, in possibile contraddizione con le leggi svizzere sulla protezione dei dati.

Per un'azienda svizzera è necessario valutare sede del fornitore, possibilità di accesso governativo, Paesi in cui i dati vengono trattati e garanzie contrattuali. Non basta verificare dove si trovano fisicamente i server. Contano anche la nazionalità del fornitore, le leggi a cui è soggetto, i sub-fornitori coinvolti e i poteri delle autorità straniere. La valutazione va documentata e rivista quando cambiano fornitori, configurazioni o contesto legale.

Conformità operativa: documentazione, trasparenza e controllo continuo

La conformità nel cloud si traduce in azioni pratiche. L'IFPDT offre guide e istruzioni su vari adempimenti: provvedimenti tecnici e organizzativi, notifica delle violazioni, verbalizzazione secondo l'articolo 4 OPDa e regolamento per i trattamenti automatizzati. Quest'ultimo va stabilito dal titolare privato e dal suo responsabile privato, secondo l'articolo 5 OPDa, se trattano su grande scala dati personali degni di particolare protezione oppure eseguono una profilazione a rischio elevato.

Un percorso ragionevole parte dall'analisi del bisogno di protezione: quali dati sono trattati, quanto sono sensibili, quali sono le minacce e quali conseguenze avrebbe una violazione. Seguono una policy e un piano di protezione dei dati, la definizione dei ruoli interni ed esterni, le procedure di verbalizzazione, la gestione delle violazioni e la formazione del personale. Se ricorrono le condizioni di legge, va predisposto anche il regolamento per i trattamenti automatizzati.

L'esempio di Swissmedic mostra un approccio pragmatico ma verificabile: l'autorità ha esaminato e affinato le proprie pratiche di tutela dei dati, elaborando una policy e un piano. Questi documenti chiariscono aspetti organizzativi e tecnici, descrivono procedure e processi e definiscono diritti e obblighi di tutti i collaboratori interni ed esterni in relazione al trattamento di dati personali. Swissmedic ha inoltre nominato un interlocutore interno per tutte le questioni sulla protezione dei dati e come persona di contatto per l'IFPDT. Organizza regolarmente incontri tra i responsabili della protezione dei dati delle varie divisioni e corsi di formazione per i collaboratori.

Swissmedic sottolinea che, in quanto autorità federale, è soggetta a requisiti più severi rispetto ad esempio alle aziende private, il che rende tutto più complesso. Un'azienda privata può comunque trarre un principio utile: l'attuazione tecnica di misure adeguate è importante quanto la sensibilizzazione di tutti i collaboratori. Così si raccolgono e memorizzano solo i dati realmente necessari – niente di più, niente di meno. La conformità non è un progetto una tantum, ma un controllo continuo su fornitori, accessi, incidenti e documentazione.

Procedura per la conformità operativa nel cloud

Scegliere il cloud giusto: criteri, integrazione e governance

Per orientare la scelta serve una checklist decisionale. Primo: ubicazione e isolamento, cioè dove vengono trattati e conservati i dati, se esistono risorse dedicate e come sono separati gli ambienti. Secondo: sicurezza e certificazioni, chiedendo quali misure tecniche e organizzative adotta il fornitore e quali attestazioni possiede.

Terzo: gestione dei sub-responsabili, con elenco, luoghi di trattamento e condizioni contrattuali. Quarto: trasferimenti all'estero e accesso governativo, con attenzione ai fornitori soggetti a leggi straniere come il CLOUD Act.

Altri criteri riguardano l'integrazione con l'ambiente locale, la scalabilità, il supporto e l'uscita dal servizio. Swisscom descrive un private cloud integrato con rete aziendale, infrastruttura, processi, data center on-premise e infrastruttura public cloud. Include servizi di rete, Security e Managed Services. Questi elementi aiutano a capire se il modello scelto è compatibile con l'ambiente esistente e con gli obiettivi di business.

Un aspetto spesso trascurato è la governance. Il progetto «Cloud pubblico della Confederazione» mostra un modello organizzativo basato su una governance cloud e su un Cloud Service Broker intermediario tra unità amministrative e hyperscaler. Il CSB supporta le unità nell'uso di servizi cloud pubblici e privati, offre consulenza e accompagna i clienti nel soddisfare i requisiti di sicurezza delle informazioni e protezione dei dati, nonché gli obblighi di riservatezza. La selezione del fornitore più adatto avviene tramite un processo di richiesta definito; nel caso federale i servizi disponibili sono quelli aggiudicati nel bando OMC-20007, tra cui Amazon Web Services, Microsoft Azure, Alibaba, IBM e Oracle.

Anche un'azienda privata può adottare un ruolo di intermediazione interno o esterno: un referente che conosca requisiti, contratti e architettura, che valuti il bisogno di protezione e che mantenga un rapporto continuo con i fornitori. La decisione finale dovrebbe basarsi su rischio, responsabilità e capacità di controllo, non solo sul prezzo o sulla facilità d'uso. Documentare criteri, valutazioni e scelte rende più semplice dimostrare, in caso di controllo o incidente, che l'azienda ha agito con diligenza.

Criteri per scegliere un fornitore cloud conforme in Svizzera